Chinesische Cybergruppe drang in die Systeme ungarischer EU-Diplomaten ein
Eine mit China verbundene Hackergruppe hat in diesem Herbst in einer koordinierten Cyberspionage-Kampagne europäische diplomatische Netzwerke – einschließlich ungarischer Systeme – ins Visier genommen. Die Angreifer nutzten eine kürzlich bekannt gewordene Windows-Schwachstelle aus und setzten Spyware ein, mit der sie auf vertrauliches diplomatisches Material zugreifen konnten.
Neue Windows-Schwachstelle, die von den Angreifern ausgenutzt wurde
Einem detaillierten Bericht von Arctic Wolf Labs zufolge begann die Operation im September und dauerte bis in den Oktober hinein an, wobei sie sich auf diplomatische Vertretungen und Regierungsnetzwerke konzentrierte. Die Angreifer hatten es auf sensible diplomatische Informationen abgesehen, darunter interne Briefings, Verhandlungsdokumente und vertrauliche Mitteilungen.
Die Gruppe nutzte eine neu entdeckte Windows-Schwachstelle aus und installierte PlugX, ein seit langem verwendetes Spionagetool, das Fernzugriff, Datenexfiltration und verdeckte Überwachung ermöglicht. Sobald die Malware eingedrungen war, konnten die Angreifer die volle Kontrolle über die kompromittierten Systeme übernehmen.
“Der Angriff beginnt mit personalisierten E-Mails, die sich scheinbar auf diplomatische Ereignisse beziehen. Wenn der Anhang geöffnet wird, löst er eine kürzlich entdeckte Windows-Schwachstelle aus, über die die Angreifer Zugriff auf das System erhalten. Dadurch kann die Malware unbemerkt ausgeführt werden, was Datendiebstahl und Langzeitüberwachung ermöglicht”, so die Forscher.
Der UNC6384
UNC6384 ist ein relativ neuer, mit China verbundener Bedrohungsakteur, der erstmals von der Google-Abteilung für Bedrohungsanalysen dokumentiert wurde. Die Gruppe hat in der Vergangenheit diplomatische Einrichtungen ins Visier genommen, zunächst in Südostasien, bevor sie ihre Aktivitäten auf Europa ausweitete.
Ihre Taktik umfasst:
- hochgradig maßgeschneiderte Speer-Phishing-E-Mails
- Umleitung des Datenverkehrs und gefälschte Websites
- digital signierte Installationsprogramme
- speicherresidente Malware, die entwickelt wurde, um sich der Erkennung zu entziehen
PlugX – ein Tool, das von chinesischen Hacker-Gruppen seit mehr als einem Jahrzehnt eingesetzt wird – bleibt aufgrund seiner Flexibilität und Heimlichkeit eine Kernkomponente ihrer Operationen.
- Enormer Anstieg der Arzneimittelpreise in Ungarn? Hier sehen Sie, was ab Januar teurer werden könnte
Auch Ungarn im Fadenkreuz
Aus dem Bericht geht nicht hervor, auf welche Informationen die Angreifer zugegriffen haben oder wie groß der Schaden war, aber die Art der Kampagne deutet darauf hin, dass das Ziel nicht Störung, sondern das Sammeln von Informationen war. Ungarns Rolle bei der Entscheidungsfindung in der EU, seine NATO-Mitgliedschaft und seine aktiven Beziehungen zu Großmächten machen das Land zu einem natürlichen Ziel für Geheimdienste.
Solche Operationen zielen selten darauf ab, Dienste zu stören. Stattdessen versuchen die Angreifer, sich frühzeitig Zugang zu geheimen Hintergrundinformationen und Verhandlungspositionen zu verschaffen – Informationen, die strategische Einblicke in Entscheidungen auf EU-Ebene und in die außenpolitische Ausrichtung Ungarns bieten können.
Auswirkungen auf die Cybersicherheit
Experten warnen, dass schnelle Patches und die Sensibilisierung der Benutzer weiterhin die wirksamsten Schutzmaßnahmen sind. In diplomatischen Umgebungen sind gezielte Phishing-Versuche weiterhin der Haupteinstiegspunkt – eine einzige überzeugende Einladung oder ein Anhang kann ein ganzes System kompromittieren.
In der Praxis bedeutet dies:
- Sicherheitsupdates können nicht aufgeschoben werden
- Links und Anhänge erfordern höchste Wachsamkeit
- Cyber-Risikomanagement muss Teil der täglichen Routine sein, nicht nur eine IT-Aufgabe
Arctic Wolf merkt an, dass die Kampagne zeigt, wie schnell fortgeschrittene Gruppen neue Schwachstellen als Waffe einsetzen: Selbst kurze Verzögerungen bei der Aktualisierung von Patches können ein echtes Risiko für die nationale Sicherheit darstellen.
Cyber-Angriffe in ganz Europa
Europäische Regierungsnetzwerke waren in den letzten Jahren einem zunehmenden Druck von Gruppen ausgesetzt, die mit China, Russland und Nordkorea in Verbindung stehen.
Ende September meldeten große Flughäfen – darunter London Heathrow, Brüssel und Berlin – Störungen im Zusammenhang mit einem externen IT-Anbieter, die zu Verspätungen und Flugausfällen führten. Etwa zur gleichen Zeit kam es bei mehreren westeuropäischen Ministerien und öffentlichen Portalen zu kurzen Ausfällen, nachdem verdächtige Netzwerkaktivitäten festgestellt worden waren.
Die Vorfälle machen deutlich, dass nicht nur diplomatische Netzwerke angegriffen werden, sondern dass auch andere Regierungs- und Infrastruktursysteme einem ständigen Druck ausgesetzt sind. Folglich benötigen alle Institutionen, die mit sensiblen Informationen umgehen, nicht nur Außenministerien, einen aktuellen Cyberschutz.
Titelbild: depositphotos.com